Directiva Nis2: ¿qué cambia para la seguridad informática de las pymes?

Buenas noticias para las empresas ya certificadas ISO 27001

La directiva NIS2 es la norma europea que tiene el objetivo de establecer qué medidas son necesarias para garantizar un nivel común elevado de ciberseguridad dentro de los Estados miembros de la UE. Esto se traduce en una serie de obligaciones específicas relacionadas con la seguridad informática para las organizaciones que operan en sectores considerados críticos (las empresas pueden ser identificadas con rol esencial o importante).

El objetivo final de la directiva NIS2 es aumentar el grado de resiliencia y la capacidad común de los Estados miembros para responder a los incidentes informáticos, a través de un modelo de aplicación en cascada (se habla del concepto de cadena de suministro).

¿Qué significa?

Las empresas que caen dentro del ámbito definido por la directiva NIS2 deben adaptarse lo antes posible implementando acciones y controles específicos de seguridad informática:

• la evaluación y gestión estructurada (según un esquema preciso) de los riesgos relacionados con la seguridad informática de nuestra empresa;

• la definición de procedimientos documentados para la gestión y respuesta a incidentes informáticos;

• la formación del personal en seguridad informática (cursos ad hoc);

• incremento del control de nuestra cadena de suministro (supply chain), extendiendo nuestros requisitos de seguridad informática a todos nuestros proveedores que sean considerados críticos;

• la implementación de planes de continuidad del negocio y recuperación de desastres;

• la adhesión a los nuevos requisitos de notificación rápida de incidentes a las autoridades competentes (portal ad hoc para informes).

En cuanto a su estructura, la directiva NIS2 se basa en los principios de la certificación ISO 27001 (seguridad informática): desde la lógica de la gestión del riesgo hasta la lógica de ciclo PDCA (Planificar-Hacer-Verificar-Actuar). Para profundizar en la certificación ISO 27001, puedes leer aquí nuestro artículo: Introducción a ISO 27001: el Sistema de gestión de la seguridad de los datos y de la información (SGSI).

Hay buenas noticias: ¡gran parte del trabajo podría ya estar realizado!

La estrecha conexión entre la certificación ISO 27001 y la directiva NIS2, debido a la superposición de requisitos, beneficia a todas las empresas que ya se hayan certificado previamente. Para simplificar:

• Mi empresa ya está certificada ISO 27001: El enfoque se dirige hacia los controles adicionales y específicos de la NIS2.

• Mi empresa no está certificada ISO 27001: El enfoque para lograr el cumplimiento de la NIS2 se desarrolla usando como base la arquitectura del Sistema de gestión de la seguridad de los datos y de la información (SGSI) de la ISO 27001 a la que se aplican luego los controles específicos NIS2.

No dudes en contactarnos para obtener más información y asegurarte de que estás en regla.